Sicurezza

Un indirizzo e-mail, un nome se lo indica, la sua lingua e il suo fuso orario, l'ora e il browser (user agent) del suo ultimo accesso, l'identificativo del suo account Google se accede con Google, l'elenco delle aziende che monitora, le regole che ha scritto, le destinazioni degli avvisi che aggiunge — indirizzi e-mail, canali Slack o URL di webhook — e gli indirizzi delle persone che invita nel suo account. Se un'e-mail che inviamo viene respinta o segnalata come spam, conserviamo anche l'indirizzo e il motivo, per smettere di scrivergli. È tutto l'inventario dei dati dei clienti. Il grafo è compilato a partire da dichiarazioni pubbliche sulle aziende e appartiene a noi, quindi una violazione del dataset non esporrebbe nulla che la riguardi e che non sia già pubblicato in rete.

Non vediamo mai il numero di una carta. Stripe ospita il modulo della carta, le fatture e il metodo di pagamento stesso; noi riceviamo solo il piano e il suo stato.

• TLS in transito. A riposo, il database, i file archiviati e i backup risiedono su volumi con cifratura completa del disco, e le credenziali che il servizio custodisce per lei — segreti dei webhook, token Slack, token delle connessioni con i partner — sono inoltre cifrate colonna per colonna.
• Applicazione e dati ospitati da Hetzner in Germania, nell'Unione europea.
• L'accesso alla produzione è riservato al solo fondatore. Ogni account di infrastruttura richiede l'autenticazione a più fattori, i server accettano solo chiavi SSH, la console del personale richiede un secondo fattore TOTP e chiunque abbia accesso è vincolato da un obbligo scritto di riservatezza.
• Accesso tramite magic link o "Accedi con Google", così non c'è alcuna password da riutilizzare, far trapelare o farsi sottrarre con il phishing. Un link di accesso funziona una sola volta, scade dopo 15 minuti, è conservato solo come digest e richiede un clic su una pagina di conferma — così uno scanner di posta che lo apre non fa accedere nessuno.
• Backup automatici dei server di Hetzner, conservati per 7 giorni.
• Scansione delle dipendenze e delle vulnerabilità a ogni modifica, con patch prioritaria per le vulnerabilità note come sfruttate.
• Le azioni del personale sono registrate in un audit trail di sola aggiunta, conservato per 12 mesi.

Il dataset del grafo sta dietro un'interfaccia interna all'applicazione, e il codice che serve il suo account lo raggiunge solo attraverso quell'interfaccia — un test di architettura fa fallire la build se qualcosa la aggira. È nato come una decisione per mantenere il dataset portabile, e ha una conseguenza di sicurezza che vale la pena dichiarare: una lettura del dataset non porta con sé alcun identificativo del cliente, perché l'interfaccia non ha dove metterlo. Liste di monitoraggio, regole e inventari stanno dal lato dell'applicazione e fanno riferimento alle aziende tramite identificativo.

Questo prodotto è solo self-service, ed è un vincolo permanente e non una fase. Esclude SSO aziendale e SAML, ruoli e permessi personalizzati o granulari, spazi di lavoro multi-cliente, contratti su misura e questionari di sicurezza compilati su richiesta. L'accesso avviene tramite magic link o "Accedi con Google" — un indirizzo verificato in entrambi i casi, non un'integrazione IdP. È possibile invitare colleghi a un account (proprietario o membro, con un numero di posti limitato dal piano), ma non c'è provisioning tramite SSO né un modello di permessi personalizzato oltre questi due ruoli.

Non siamo certificati SOC 2 e non siamo certificati ISO 27001. Se il suo processo di acquisto richiede l'uno o l'altro, non siamo ancora adatti, e preferiamo che lo scopra qui invece che dopo tre settimane di e-mail.

Quello che offriamo invece è una descrizione breve e precisa di un sistema piccolo — questa pagina, il DPA e il nostro elenco di sub-responsabili — e la possibilità di disdire con un clic se smettiamo di valerne la pena.

Invii le segnalazioni di sicurezza a security@nthparty.io. Rispondiamo entro due giorni lavorativi, le diremo che cosa abbiamo trovato e quando è risolto, e non la minacceremo per una segnalazione fatta in buona fede. Non abbiamo un budget per il bug bounty e non fingiamo il contrario.

Lo stato del servizio è pubblicato su status.nthparty.io, ospitato da Better Stack, e la manutenzione programmata vi è annunciata in anticipo. Le dichiarazioni sono controllate ogni giorno su ogni piano.